Cloud VPN മുതൽ Cisco ASA വരെ: നിർദ്ദേശത്തിലെ പൊരുത്തക്കേടിന് ശേഷം പുനർനിർമ്മാണം

Cloud VPN നിർദ്ദേശം ടണൽ ഒബ്ജക്ടിലേക്ക് ഉൾക്കൊള്ളിക്കുന്നു, അതിനാൽ ASA-യുമായി പൊരുത്തക്കേട് അത് പുനർനിർമ്മിക്കണം എന്നാണ് അർത്ഥം. സെലക്ടറുകൾ രേഖപ്പെടുത്തുക, രണ്ട് ഘട്ടങ്ങളും ഒരുമിപ്പിക്കുക, പഴയ SA മായ്ക്കുക.

വിദൂര അറ്റത്ത് Cisco ASA ഉള്ള Cloud VPN ടണലിലെ NEGOTIATION_FAILURE മിക്കവാറും എപ്പോഴും നിർദ്ദേശത്തിലോ സെലക്ടറുകളിലോ ഉള്ള പൊരുത്തക്കേടാണ്, കൂടാതെ ആദ്യത്തെ പ്രയോജനകരമായ വസ്തുത ഏതെങ്കിലും എഡിറ്റ് അത് ശരിയാക്കില്ല എന്നതാണ്. ടണൽ ഒബ്ജക്ട് സൃഷ്ടിക്കുമ്പോൾ തന്നെ Cloud VPN IKE നിർദ്ദേശം ഉറപ്പിക്കുന്നു. അൽഗോരിതം അവിടെത്തന്നെ മാറ്റാൻ ഫീൽഡ് ഇല്ല, അതിനാൽ പരിഹാരം ഡിലീറ്റ് ചെയ്ത് രേഖപ്പെടുത്തിയ ആരംഭബിന്ദുവിനൊപ്പം വീണ്ടും നിർമ്മിക്കുന്നതാണ്. ഇതിനെ പുനർനിർമ്മാണമായി കാണൂ, അപ്പോൾ ജോലി ഊഹങ്ങൾ നിറഞ്ഞ ഉച്ചയ്ക്കുശേഷമല്ല, ഒരു പരിശോധനാ പട്ടികയായി മാറും.

എന്തെങ്കിലും ഡിലീറ്റ് ചെയ്യുന്നതിന് മുമ്പ് പരാജയം വായിക്കുക

നെഗോഷ്യേഷൻ പരാജയം ഘട്ടത്തിന്റെ പ്രശ്നമാണ്, പിയർ ലോഗ് സാധാരണയായി ഘട്ടം പേരിടുന്നു. ഘട്ടം 1 പരാജയപ്പെട്ടാൽ ഇരു അറ്റങ്ങൾക്കും നിർദ്ദേശത്തിൽ യോജിക്കാനോ പരസ്പരം പ്രാമാണീകരിക്കാനോ കഴിഞ്ഞില്ല എന്നാണ്. ഘട്ടം 2 പരാജയപ്പെട്ടാൽ ടണൽ ഉയർന്നു, പക്ഷേ സംരക്ഷിത സെലക്ടറുകൾ ഒത്തുപോയില്ല എന്നാണ്. ഇവ വ്യത്യസ്ത പരിഹാരങ്ങളാണ്, ആരെങ്കിലും കോൺഫിഗറേഷൻ തൊടുന്നതിന് മുമ്പ് ലോഗ് വരി എടുത്തുവയ്ക്കുന്നത് ഉചിതമാണ്.

ഈ പരാജയം ചില കാര്യങ്ങളെ ഒഴിവാക്കുകയും ചെയ്യുന്നു. ഇത് VPC റൂട്ടല്ല, ടണൽ ഇന്റർഫേസിലെ ഫയർവാൾ നിയമമല്ല, നെറ്റ്‌വർക്കിനുള്ളിലെ നാമപരിഹാര തകരാറുമല്ല. അവയെ പിന്തുടരുന്നത് ഫലം മാറ്റാൻ കഴിയാത്ത ആത്മവിശ്വാസമുള്ള മാറ്റങ്ങൾ ഉണ്ടാക്കുകയും അന്തിമ പരിഹാരം ആർക്കാണ് കൊടുക്കേണ്ടതെന്ന് കണ്ടെത്താൻ ബുദ്ധിമുട്ടാക്കുകയും ചെയ്യുന്നു.

രണ്ട് കോൺഫിഗറേഷനുകളും ഇപ്പോഴും ഉള്ളപ്പോൾ രേഖപ്പെടുത്തുക

ടണൽ ഡിലീറ്റ് ചെയ്യാൻ അര മിനിറ്റ് മതി, നിങ്ങളുടെ കൈവശമുള്ള ഏക തെളിവ് നശിക്കും. അതിന് മുമ്പ് പ്രാദേശികവും വിദൂരവുമായ സെലക്ടറുകൾ, പിയർ വിലാസം, പങ്കിട്ട രഹസ്യം ആർക്കാണ്, ASA-യുടെ crypto map അല്ലെങ്കിൽ IKEv2 പ്രൊഫൈൽ എന്നിവ എഴുതിവയ്ക്കുക. ASA രണ്ട് വ്യത്യസ്ത ചോദ്യങ്ങൾക്ക് ഉത്തരം നൽകുന്നു: എന്താണ് കോൺഫിഗർ ചെയ്തിരിക്കുന്നത്, ഇപ്പോൾ എന്താണ് ഉയർന്നിരിക്കുന്നത്:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Google വശത്ത് കൺസോൾ സംഗ്രഹത്തിനുപകരം ടണൽ ഒബ്ജക്ട് വായിക്കുക, കാരണം പിയർ വിലാസവും സെലക്ടർ ഫീൽഡുകളുമാണ് നിങ്ങൾ കൃത്യമായി പുനർനിർമ്മിക്കേണ്ട മൂല്യങ്ങൾ:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

ആ മൂല്യങ്ങൾ ആദ്യ ഡിലീറ്റിന് മുമ്പ് ടിക്കറ്റിൽ എഴുതുക. താഴെയുള്ള പുനർനിർമ്മാണം പ്രവർത്തിക്കുന്നത് ഒരു ബോധപൂർവമായ വ്യത്യാസത്തോടെ അതേ ഒബ്ജക്ട് വീണ്ടും സൃഷ്ടിക്കാൻ കഴിയുന്നതുകൊണ്ട് മാത്രമാണ്.

ഒരു വശം ചർച്ച ചെയ്യാൻ വിസമ്മതിക്കുന്ന അൽഗോരിതങ്ങൾ

Cloud VPN പരമ്പരാഗത പിയർ പോലെ IKEv1 അൽഗോരിതങ്ങളുടെ ശ്രേണിയിൽനിന്ന് തിരഞ്ഞെടുക്കുന്നില്ല. അത് പ്രതീക്ഷിക്കുന്ന പിയർ ക്രമീകരണങ്ങൾ സ്ഥിരമാണ്: എൻക്രിപ്ഷന് aes-cbc-128, സമഗ്രതയ്ക്കും PRF-നും sha1-96, Diffie-Hellman ഗ്രൂപ്പ് 2, ഘട്ടം 1-ന് 36,600 സെക്കൻഡ്, ഘട്ടം 2-ന് 10,800 സെക്കൻഡ്. ASA നയം കൃത്യമായി ഈ കൂട്ടം നൽകണം. ASA-യിൽ രണ്ടാമതൊരു നിർദ്ദേശം ഉണ്ടായാലും ഒത്തുപോകുന്നതും പട്ടികയിലുണ്ടെങ്കിൽ കുഴപ്പമില്ല.

IKEv2 ഇരു വശങ്ങൾക്കും കൂടുതൽ ഇടം നൽകുന്നു, പക്ഷേ നിയമങ്ങൾ അതേ രൂപം നിലനിർത്തുന്നു: PFS ഓണാക്കുക, ടണൽ പിന്തുണയ്ക്കുന്ന DH ഗ്രൂപ്പ് തിരഞ്ഞെടുക്കുക, പൊരുത്തക്കേട് വ്യക്തമാകുന്നത്ര ചെറുതായി നിർദ്ദേശങ്ങളുടെ പട്ടിക സൂക്ഷിക്കുക. Cloud VPN-ൽ ASA പിയർ എന്നാൽ സ്റ്റാറ്റിക് റൂട്ടിംഗും ആണ്, അതിനാൽ സംരക്ഷിത പ്രിഫിക്സുകൾ BGP-യ്ക്ക് വിടാതെ ആസൂത്രണം ചെയ്ത് പട്ടികപ്പെടുത്തണം.

മറ്റൊരു നിർമ്മാതാവിന്റെ ടെംപ്ലേറ്റിൽനിന്ന് പകർത്തിയ ജീവിതകാലം ഇവിടെ സാധാരണ തെറ്റായ തിരിവാണ്. Google ഈ മൂല്യങ്ങൾ നിർബന്ധിത പിയർ ക്രമീകരണങ്ങളായി പ്രസിദ്ധീകരിക്കുന്നു, അതിനാൽ അവ സെറ്റ് ചെയ്യുക; ചെറിയ മൂല്യം ASA ആഗ്രഹിക്കുന്നതുവരെ മുകളിലേക്ക് ചർച്ച ചെയ്യപ്പെടുന്നില്ല.

ഡിലീറ്റ് ചെയ്യുക, വീണ്ടും സൃഷ്ടിക്കുക, പഴയ അവസ്ഥ വൃത്തിയാക്കുക

ഗേറ്റ്‌വേ അല്ല, ടണൽ ഡിലീറ്റ് ചെയ്യുക, ഒപ്പം Cloud VPN പകരക്കാരന് നൽകുന്ന പേര് രേഖപ്പെടുത്തുക, കാരണം പേരുകൾ വീണ്ടും ഉപയോഗിക്കുന്നില്ല, അനുവദിക്കുന്നു. രേഖപ്പെടുത്തിയ മൂല്യങ്ങളും അതേ പിയർ വിലാസവും ഉപയോഗിച്ച് അത് വീണ്ടും സൃഷ്ടിക്കുക, തുടർന്ന് ഒത്തുപോകുന്ന നിർദ്ദേശം ASA നയപട്ടികയിൽ ചേർക്കുക.

ASA മാറ്റത്തിന് ശേഷവും ഫലം വായിക്കുന്നതിന് മുമ്പും സുരക്ഷാ അസോസിയേഷനുകൾ വൃത്തിയാക്കുക. നിലവിലെ SA തീരുന്നതുവരെ ASA കാലഹരണപ്പെട്ട നയം നൽകിക്കൊണ്ടിരിക്കാം, അതിനാൽ ശരിയായ കോൺഫിഗറേഷൻ പഴയ ജീവിതകാലം മുഴുവൻ തകർന്നതായി കാണപ്പെടും, നിരീക്ഷകൻ പുനർനിർമ്മാണം തുടങ്ങിയിട്ടില്ലെന്നിരിക്കെ അത് പരാജയപ്പെട്ടു എന്ന് തീരുമാനിക്കും:

clear crypto ikev2 sa
clear crypto ipsec sa

ഘട്ടം 2 നോക്കുന്നതിന് മുമ്പ് ഘട്ടം 1 ഉയരുന്നുവെന്ന് ഉറപ്പാക്കുക. ഘട്ടം 1 താഴെയിരിക്കുമ്പോൾ നിർദ്ദേശമോ മുൻകൂട്ടി പങ്കിട്ട കീയോ തെറ്റാണ്, സെലക്ടർ ജോലി അത് മാറ്റില്ല.

സെലക്ടറുകൾ കണ്ണാടിപോലെ ഒത്തുപോകുന്നു, പിന്നെ കൗണ്ടറുകൾ തീരുമാനിക്കുന്നു

സംരക്ഷിത വിലാസങ്ങളെക്കുറിച്ച് ഇരു അറ്റങ്ങളും യോജിക്കുമ്പോൾ മാത്രമാണ് ഘട്ടം 2 പ്രവർത്തിക്കുന്നത്, ആ യോജിപ്പ് പങ്കിട്ടതല്ല, കണ്ണാടി രൂപമാണ്. Google-ന്റെ പ്രാദേശിക സെലക്ടർ ASA വിദൂരം എന്ന് വിളിക്കുന്ന സെലക്ടറുമായി ഒത്തുപോകണം, Google-ന്റെ വിദൂര സെലക്ടർ ASA പ്രാദേശികം എന്ന് വിളിക്കുന്നതുമായി ഒത്തുപോകണം. ഒരു വശത്ത് 0.0.0.0/0 ഉം മറുവശത്ത് ഒരു സബ്നെറ്റും ഉള്ള ടണൽ ഘട്ടം 1 കടന്ന് പിന്നെ അതേ പ്രധാന പിശകിനോടെ ഘട്ടം 2-ൽ പരാജയപ്പെടുന്നു. ഒരു വശത്തിനും മറുവശത്തിന്റെ പട്ടിക വിശാലമാക്കാനാവില്ല.

നയാധിഷ്ഠിത സെലക്ടറുകൾക്ക് ഓരോ പ്രിഫിക്സ് ജോടിയും പട്ടികപ്പെടുത്തി പട്ടിക ടിക്കറ്റിൽ സൂക്ഷിക്കുക. പിന്നീട് സൈറ്റിൽ ചേർക്കുന്ന സബ്നെറ്റിന് ഇരു അറ്റങ്ങളിലും എഡിറ്റ് വേണം, കാരണം ASA-യിലെ പുതിയ റൂട്ട് സെലക്ടർ വിശാലമാക്കുന്നില്ല, ഫലം ഉയർന്നിരിക്കുന്നതും ആദ്യ ദിവസം ഉണ്ടായിരുന്ന പ്രിഫിക്സുകൾക്ക് മാത്രം ട്രാഫിക് കടത്തിവിടുന്നതുമായ ടണലാണ്.

ഒരു ഹോസ്റ്റിൽനിന്ന് ഹോസ്റ്റിലേക്കുള്ള ഒരു പ്രവാഹത്തോടെ അവസാനിപ്പിക്കുക, ഇരു വശങ്ങളിലും ബൈറ്റ് കൗണ്ടറുകൾ വായിക്കുക. ASA-യിൽ ഉയർന്ന് Google-ൽ പരന്നുനിൽക്കുന്ന കൗണ്ടറുകൾ സാധാരണയായി അർത്ഥമാക്കുന്നത് മറുപടി മറ്റൊരു ഇന്റർഫേസിലൂടെ പുറത്തുപോകുന്നു, അല്ലെങ്കിൽ സെലക്ടർ തിരിച്ചുവരവ് പ്രിഫിക്സ് ഉൾക്കൊള്ളുന്നില്ല. അൽഗോരിതങ്ങൾ, ജീവിതകാലങ്ങൾ, സെലക്ടറുകൾ, പുതിയ ടണൽ പേര് എന്നിവ രേഖപ്പെടുത്തുക, കാരണം അടുത്ത നിർദ്ദേശ മാറ്റം ഈ പുനർനിർമ്മാണം ആവർത്തിക്കും, ആ മൂല്യങ്ങൾ അതിനെ ചെറിയ ജോലിയാക്കും.

അനുബന്ധ ലേഖനങ്ങൾ